Instrumento para Evaluar las dos Evaluaciones

Instrumento para Evaluación Trabajo on-line

- Metodología de Auditoría Informática -

- Metodología de Auditoría Informática -
1.- Introducción
Metodología es una secuencia de pasos lógica y ordenada de proceder para llegar a un resultado. Generalmente existen diversas formas de obtener un resultado determinado, y de esto se deriva la existencia de varias metodologías para llevar a cabo una auditoria informática.  El contenido de este documento tratara en forma general las mismas, así como de manera particular CRMR (Computer Resource Management Review) El objetivo del trabajo práctico se divide en dos partes. En primer lugar, describir las metodologías de auditoría informática en forma general. En segundo lugar profundizar sobre una metodología en particular, CRMR. En la primera parte se darán a conocer los puntos o fases que toda auditoría debe tener en cuenta. En la segunda parte se hará un estudio de la metodología elegida para corroborar las conclusiones obtenidas en la primera parte de la investigación. El trabajo constará con el análisis detallado de tan solo una metodología, la misma debe ser usada extensamente y estar disponible para su estudio.
2.- Metodología de trabajo de Auditoría Informática
2.1- Etapas de la Metodología
El método de trabajo del auditor pasa por las siguientes etapas:   Alcance y Objetivos de la Auditoría Informática Estudio inicial del entorno auditable Determinación de los recursos necesarios para realizar la auditoría Elaboración del plan y de los Programas de Trabajo Actividades propiamente dichas de la auditoría Confección y redacción del Informe Final Redacción de la Carta de Introducción o Carta de Presentación del Informe final
2.1.1- Fase 1: Definición de Alcance y Objetivos
El alcance de la auditoría expresa los límites de la misma. Debe existir un acuerdo muy preciso entre auditores y clientes sobre las funciones, las materias y las organizaciones a auditar. A los efectos de acotar el trabajo, resulta muy beneficioso para ambas partes expresar las excepciones de alcance de la auditoría, es decir cuales materias, funciones u organizaciones no van a ser auditadas. Tanto los alcances como las excepciones deben figurar al comienzo del Informe Final. Las personas que realizan la auditoría han de conocer con la mayor exactitud posible los objetivos a los que su tarea debe llegar. Deben comprender los deseos y pretensiones del cliente, de forma que las metas fijadas puedan ser cumplidas. Una vez definidos los objetivos (objetivos específicos), éstos se añadirán a los objetivos generales y comunes de a toda auditoría Informática: La operatividad de los Sistemas y los Controles Generales de Gestión Informática.
2.1.2- Fase 2: Estudio Inicial
Para realizar dicho estudio ha de examinarse las funciones y actividades generales de la informática. Para su realización el auditor debe conocer lo siguiente: Organización:   Para el equipo auditor, el conocimiento de quién ordena, quién diseña y quién ejecuta es fundamental. Para realizar esto en auditor deberá fijarse en: 1) Organigrama:   El organigrama expresa la estructura oficial de la organización a auditar. Si se descubriera que existe un organigrama fáctico diferente al oficial, se pondrá de manifiesto tal circunstancia. 2) Departamentos:   Se entiende como departamento a los órganos que siguen inmediatamente a la Dirección. El equipo auditor describirá brevemente las funciones de cada uno de ellos. 3) Relaciones Jerárquicas y funcionales entre órganos de la Organización: El equipo auditor verificará si se cumplen las relaciones funcionales y Jerárquicas previstas por el organigrama, o por el contrario detectará, por ejemplo, si algún empleado tiene dos jefes. Las de Jerarquía implican la correspondiente subordinación. Las funcionales por el contrario, indican relaciones no estrictamente subordinables. 4)     Flujos de Información:   Además de las corrientes verticales intradepartamentales, la estructura organizativa cualquiera que sea, produce corrientes de información horizontales y oblicuas extradepartamentales. Los flujos de información entre los grupos de una organización son necesarios para su eficiente gestión, siempre y cuando tales corrientes no distorsionen el propio organigrama. En ocasiones, las organizaciones crean espontáneamente canales alternativos de información, sin los cuales las funciones no podrían ejercerse con eficacia; estos canales alternativos se producen porque hay pequeños o grandes fallos en la estructura y en el organigrama que los representa. Otras veces, la aparición de flujos de información no previstos obedece a afinidades personales o simple comodidad. Estos flujos de información son indeseables y producen graves perturbaciones en la organización. 5)     Número de Puestos de trabajo El equipo auditor comprobará que los nombres de los Puesto de los Puestos de Trabajo de la organización corresponden a las funciones reales distintas. Es frecuente que bajo nombres diferentes se realicen funciones idénticas, lo cual indica la existencia de funciones operativas redundantes. Esta situación pone de manifiesto deficiencias estructurales; los auditores darán a conocer tal circunstancia y expresarán el número de puestos de trabajo verdaderamente diferentes.  6)     Número de personas por Puesto de Trabajo Es un parámetro que los auditores informáticos deben considerar. La inadecuación del personal determina que el número de personas que realizan las mismas funciones rara vez coincida con la estructura oficial de la organización.
2.1.3- Fase 3: Entorno Operacional
El equipo de auditoría informática debe poseer una adecuada referencia del entorno en el que va a desenvolverse. Este conocimiento previo se logra determinando, fundamentalmente, los siguientes extremos: a.      Situación geográfica de los Sistemas: Se determinará la ubicación geográfica de los distintos Centros de Proceso de Datos en la empresa. A continuación, se verificará la existencia de responsables en cada unos de ellos, así como el uso de los mismos estándares de trabajo. b.      Arquitectura y configuración de Hardware y Software: Cuando existen varios equipos, es fundamental la configuración elegida para cada uno de ellos, ya que los mismos deben constituir un sistema compatible e intercomunicado. La configuración de los sistemas esta muy ligada a las políticas de seguridad lógica de las compañías. Los auditores, en su estudio inicial, deben tener en su poder la distribución e interconexión de los equipos.      c.  Inventario de Hardware y Software: El auditor recabará información escrita, en donde figuren todos los elementos físicos y lógicos de la instalación. En cuanto a Hardware figurarán las CPUs, unidades de control local y remotas, periféricos de todo tipo, etc. El inventario de software debe contener todos los productos lógicos del Sistema, desde el software básico hasta los programas de utilidad adquiridos o desarrollados internamente. Suele ser habitual clasificarlos en facturables y no facturables.  d. Comunicación y Redes de Comunicación: En el estudio inicial los auditores dispondrán del número, situación y características principales de las líneas, así como de los accesos a la red pública de comunicaciones. Igualmente, poseerán información de las Redes Locales de la Empresa. Aplicaciones bases de datos y ficheros El estudio inicial que han de realizar los auditores se cierra y culmina con una idea general de los procesos informáticos realizados en la empresa auditada. Para ello deberán conocer lo siguiente:      a. Volumen, antigüedad y complejidad de las Aplicaciones      b. Metodología del Diseño Se clasificará globalmente la existencia total o parcial de metodología en el desarrollo de las aplicaciones. Si se han utilizados varias a lo largo del tiempo se pondrá de manifiesto.      c. Documentación La existencia de una adecuada documentación de las aplicaciones proporciona beneficios tangibles e inmediatos muy importantes. La documentación de programas disminuye gravemente el mantenimiento de los mismos.      d. Cantidad y complejidad de Bases de Datos y Ficheros. El auditor recabará información de tamaño y características de las Bases de Datos, clasificándolas en relación y jerarquías. Hallará un promedio de número de accesos a ellas por hora o días. Esta operación se repetirá con los ficheros, así como la frecuencia de actualizaciones de los mismos. Estos datos proporcionan una visión aceptable de las características de la carga informática.
2.1.4- Fase 4: Determinación de recursos de la Auditoría Informática
Mediante los resultados del estudio inicial realizado se procede a determinar los recursos humanos y materiales que han de emplearse en la auditoría. - Recursos humanos  - Recursos materiales
Recursos materiales Es muy importante su determinación, por cuanto la mayoría de ellos son proporcionados por el cliente. Las herramientas de software propias del equipo van a utilizarse igualmente en el sistema auditado, por lo que han de convenirse en lo posible las fechas y horas de uso entre el auditor y cliente. Los recursos materiales del auditor son de dos tipos: a.      Recursos materiales Software Programas propios de la auditoría: Son muy potentes y Flexibles. Habitualmente se añaden a las ejecuciones de los procesos del cliente para verificarlos. Monitores: Se utilizan en función del grado de desarrollo observado en la actividad de Técnica de Sistemas del auditado y de la cantidad y calidad de los datos ya existentes. b.      Recursos materiales Hardware Los recursos hardware que el auditor necesita son proporcionados por el cliente. Los procesos de control deben efectuarse necesariamente en las Computadoras del auditado. Para lo cuál habrá de convenir el, tiempo de maquina, espacio de disco, impresoras ocupadas, etc.
Recursos Humanos La cantidad de recursos depende del volumen auditable. Las características y perfiles del personal seleccionado depende de la materia auditable. Es igualmente señalable que la auditoría en general suele ser ejercida por profesionales universitarios y por otras personas de probada experiencia multidisciplinaria.  Perfiles Profesionales de los auditores informáticos  Profesión Actividades y conocimientos deseables Informático en general Con experiencia amplia en ramas distintas. Es deseable que su labor se haya desarrollado en Explotación y en Desarrollo de Proyectos. Conocedor de Sistemas. Experto en Desarrollo de Proyectos Amplia experiencia como responsable de proyectos. Experto analista. Conocedor de las metodologías de Desarrollo más importantes. Técnico de Sistemas Experto en Sistemas Operativos y Software Básico. Conocedor de los productos equivalentes en el mercado. Amplios conocimientos de Explotación. Experto en Bases de Datos y Administración de las mismas. Con experiencia en el mantenimiento de Bases de Datos. Conocimiento de productos compatibles y equivalentes. Buenos conocimientos de explotación Experto en Software de Comunicación Alta especialización dentro de la técnica de sistemas. Conocimientos profundos de redes. Muy experto en Subsistemas de teleproceso. Experto en Explotación y Gestión de CPD´S Responsable de algún Centro de Computos. Amplia experiencia en Automatización de trabajos. Experto en relaciones humanas. Buenos conocimientos de los sistemas. Técnico de Organización Experto organizador y coordinador. Especialista en el análisis de flujos de información. Técnico de evaluación de Costes Economista con conocimiento de Informática. Gestión de costes.  Elaboración del Plan y de los programas de trabajo Una vez asignados los recursos, el responsable de la auditoría y sus colaboradores establecen un plan de trabajo. Decidido éste, se procede a la programación del mismo. El plan se elabora teniendo en cuenta, entre otros criterios, los siguientes: a) Si la Revisión debe realizarse por áreas generales o áreas específicas. En el primer caso, la elaboración es más compleja y costosa. b) Si la auditoría es global, de toda la Informática, o parcial. El volumen determina no solamente el número de auditores necesarios, sino las especialidades necesarias del personal. En el Plan no se consideran calendarios, porque se manejan recursos genéricos y no específicos  En el Plan se establecen los recursos y esfuerzos globales que van a ser necesarios  En el Plan se establecen las prioridades de materias auditables, de acuerdo siempre con las prioridades del cliente. El Plan establece disponibilidad futura de los recursos durante la revisión. El Plan estructura las tareas a realizar por cada integrante del grupo. En el Plan se expresan todas las ayudas que el auditor ha de recibir del auditado. Una vez elaborado el Plan, se procede a la Programación de actividades. Esta ha de ser lo suficientemente como para permitir modificaciones a lo largo del proyecto.
2.1.5- Fase 5: Actividades de la Auditoría Informática
Auditoría por temas generales o por áreas específicas: La auditoría Informática general se realiza por áreas generales o por áreas específicas. Si se examina por grandes temas, resulta evidente la mayor calidad y el empleo de más tiempo total y mayores recursos. Cuando la auditoría se realiza por áreas específicas, se abarcan de una vez todas las peculiaridades que afectan a la misma, de forma que el resultado se obtiene más rápidamente y con menor calidad. Técnicas de Trabajo: ·        Análisis de la información recabada del auditado ·        Análisis de la información propia ·        Cruzamiento de las informaciones anteriores ·        Entrevistas ·        Simulación ·        Muestreos  Herramientas: ·        Cuestionario general inicial ·        Cuestionario Checklist ·        Estándares ·        Monitores ·        Simuladores (Generadores de datos) ·        Paquetes de auditoría (Generadores de Programas) ·        Matrices de riesgo
2.1.6- Fase 6: Informe Final
La función de la auditoría se materializa exclusivamente por escrito. Por lo tanto la elaboración final es el exponente de su calidad. Resulta evidente la necesidad de redactar borradores e informes parciales previos al informe final, los que son elementos de contraste entre opinión entre auditor y auditado y que pueden descubrir fallos de apreciación en el auditor. Estructura del informe final El informe comienza con la fecha de comienzo de la auditoría y la fecha de redacción del mismo. Se incluyen los nombres del equipo auditor y los nombres de todas las personas entrevistadas, con indicación de la jefatura, responsabilidad y puesto de trabajo que ostente. ·        Definición de objetivos y alcance de la auditoría. ·        Enumeración de temas considerados: Antes de tratarlos con profundidad, se enumerarán lo más exhaustivamente posible todos los temas objeto de la auditoría. ·        Cuerpo expositivo: Para cada tema, se seguirá el siguiente orden a saber: a) Situación actual. Cuando se trate de una revisión periódica, en la que se analiza no solamente una situación sino además su evolución en el tiempo, se expondrá la situación prevista y la situación real b) Tendencias. Se tratarán de hallar parámetros que permitan establecer tendencias futuras. c) Puntos débiles y amenazas d) Recomendaciones y planes de acción. Constituyen junto con la exposición de puntos débiles, el verdadero objetivo de la auditoría informática. e) Redacción posterior de la Carta de Introducción o Presentación. Modelo conceptual de la exposición del informe final: ·        El informe debe incluir solamente hechos importantes. La inclusión de hechos poco relevantes o accesorios desvía la atención del lector. ·        El Informe debe consolidar los hechos que se describen en el mismo. El término de "hechos consolidados" adquiere un especial significado de verificación objetiva y de estar documentalmente probados y soportados. La consolidación de los hechos debe satisfacer, al menos los siguientes criterios: 1.      El hecho debe poder ser sometido a cambios. 2.      Las ventajas del cambio deben superar los inconvenientes derivados de mantener la situación. 3.      No deben existir alternativas viables que superen al cambio propuesto. 4.      La recomendación del auditor sobre el hecho debe mantener o mejorar las normas y estándares existentes en la instalación. La aparición de un hecho en un informe de auditoría implica necesariamente la existencia de una debilidad que ha de ser corregida. Flujo del hecho o debilidad: 1 – Hecho encontrado ·        Ha de ser relevante para el auditor y pera el cliente ·        Ha de ser exacto, y además convincente. ·        No deben existir hechos repetidos. 2 – Consecuencias del hecho ·       Las consecuencias deben redactarse de modo que sean directamente deducibles del hecho. 3 – Repercusión del hecho ·       Se redactará las influencias directas que el hecho pueda tener sobre otros aspectos informáticos u otros ámbitos de la empresa. 4 – Conclusión del hecho ·        No deben redactarse conclusiones más que en los casos en que la exposición haya sido muy extensa o compleja.  5 – Recomendación del auditor informático ·        Deberá entenderse por sí sola, por simple lectura. ·        Deberá estar suficientemente soportada en el propio texto. ·        Deberá ser concreta y exacta en el tiempo, para que pueda ser verificada su implementación. ·        La recomendación se redactará de forma que vaya dirigida expresamente a la persona o personas que puedan implementarla.
2.1.7- Fase 7: Carta de Introducción o Presentación del Informe Final
La carta de introducción tiene especial importancia porque en ella ha de resumirse la auditoría realizada. Se destina exclusivamente al responsable máximo de la empresa, o a la persona concreta que encargo o contrato la auditoría. Así como pueden existir tantas copias del informe Final como solicite el cliente, la auditoría no hará copias de la citada carta de Introducción. La carta de introducción poseerá los siguientes atributos: Tendrá como máximo 4 folios Incluirá fecha, naturaleza, objetivos y alcance  Cuantificará la importancia de las áreas analizadas. Proporcionará una conclusión general, concretando las áreas de gran debilidad. Presentará las debilidades en orden de importancia y gravedad. En la carta de Introducción no se escribirán nunca recomendaciones.
2.2- Herramientas y Técnicas para la Auditoría Informática
- Cuestionarios  - Entrevistas  - Checklist  - Trazas y/o Huellas  - Software de interrogación  Cuestionarios Las auditorías informáticas se materializan recabando información y documentación de todo tipo. Los informes finales de los auditores dependen de sus capacidades para analizar las situaciones de debilidad o fortaleza de los diferentes entornos. El trabajo de campo del auditor consiste en lograr toda la información necesaria para la emisión de un juicio global objetivo, siempre amparado en hechos demostrables, llamados también evidencias. Para esto, suele ser lo habitual comenzar solicitando la cumplimentación de cuestionarios preimpresos que se envían a las personas concretas que el auditor cree adecuadas, sin que sea obligatorio que dichas personas sean las responsables oficiales de las diversas áreas a auditar. Estos cuestionarios no pueden ni deben ser repetidos para instalaciones distintas, sino diferentes y muy específicos para cada situación, y muy cuidados en su fondo y su forma. Sobre esta base, se estudia y analiza la documentación recibida, de modo que tal análisis determine a su vez la información que deberá elaborar el propio auditor. El cruzamiento de ambos tipos de información es una de las bases fundamentales de la auditoría. Cabe aclarar, que esta primera fase puede omitirse cuando los auditores hayan adquirido por otro medios la información que aquellos preimpresos hubieran proporcionado. Entrevistas El auditor comienza a continuación las relaciones personales con el auditado. Lo hace de tres formas: 1.      Mediante la petición de documentación concreta sobre alguna   materia de su responsabilidad. 2. Mediante "entrevistas" en las que no se sigue un plan predeterminado ni un método estricto de sometimiento a un cuestionario. 3. Por medio de entrevistas en las que el auditor sigue un método preestablecido de antemano y busca unas finalidades concretas. La entrevista es una de las actividades personales más importante del auditor; en ellas, éste recoge más información, y mejor matizada, que la proporcionada por medios propios puramente técnicos o por las respuestas escritas a cuestionarios. Aparte de algunas cuestiones menos importantes, la entrevista entre auditor y auditado se basa fundamentalmente en el concepto de interrogatorio; es lo que hace un auditor, interroga y se interroga a sí mismo. El auditor informático experto entrevista al auditado siguiendo un cuidadoso sistema previamente establecido, consistente en que bajo la forma de una conversación correcta y lo menos tensa posible, el auditado conteste sencillamente y con pulcritud a una serie de preguntas variadas, también sencillas. Sin embargo, esta sencillez es solo aparente. Tras ella debe existir una preparación muy elaborada y sistematizada, y que es diferente para cada caso particular. Checklist El auditor profesional y experto es aquél que reelabora muchas veces sus cuestionarios en función de los escenarios auditados. Tiene claro lo que necesita saber, y por qué. Sus cuestionarios son vitales para el trabajo de análisis, cruzamiento y síntesis posterior, lo cual no quiere decir que haya de someter al auditado a unas preguntas estereotipadas que no conducen a nada. Muy por el contrario, el auditor conversará y hará preguntas "normales", que en realidad servirán para la cumplimentación sistemática de sus Cuestionarios, de sus Checklists. Hay opiniones que descalifican el uso de los Checklists, ya que consideran que leerle una pila de preguntas recitadas de memoria o leídas en voz alta descalifica al auditor informático. Pero esto no es usar Checklists, es una evidente falta de profesionalismo. El profesionalismo pasa por un procesamiento interno de información a fin de obtener respuestas coherentes que permitan una correcta descripción de puntos débiles y fuertes. El profesionalismo pasa por poseer preguntas muy estudiadas que han de formularse flexiblemente. El conjunto de estas preguntas recibe el nombre de Checklist. Salvo excepciones, las Checklists deben ser contestadas oralmente, ya que superan en riqueza y generalización a cualquier otra forma. Según la claridad de las preguntas y el talante del auditor, el auditado responderá desde posiciones muy distintas y con disposición muy variable. El auditado, habitualmente informático de profesión, percibe con cierta facilidad el perfil técnico y los conocimientos del auditor, precisamente a través de las preguntas que éste le formula. Esta percepción configura el principio de autoridad y prestigio que el auditor debe poseer. Por ello, aun siendo importante tener elaboradas listas de preguntas muy sistematizadas, coherentes y clasificadas por materias, todavía lo es más el modo y el orden de su formulación. Las empresas externas de Auditoría Informática guardan sus Checklists, pero de poco sirven si el auditor no las utiliza adecuada y oportunamente. No debe olvidarse que la función auditora se ejerce sobre bases de autoridad, prestigio y ética. El auditor deberá aplicar la Checklist de modo que el auditado responda clara y escuetamente. Se deberá interrumpir lo menos posible a éste, y solamente en los casos en que las respuestas se aparten sustancialmente de la pregunta. En algunas ocasiones, se hará necesario invitar a aquél a que exponga con mayor amplitud un tema concreto, y en cualquier caso, se deberá evitar absolutamente la presión sobre el mismo. Algunas de las preguntas de las Checklists utilizadas para cada sector, deben ser repetidas. En efecto, bajo apariencia distinta, el auditor formulará preguntas equivalentes a las mismas o a distintas personas, en las mismas fechas, o en fechas diferentes. De este modo, se podrán descubrir con mayor facilidad los puntos contradictorios; el auditor deberá analizar los matices de las respuestas y reelaborar preguntas complementarias cuando hayan existido contradicciones, hasta conseguir la homogeneidad. El entrevistado no debe percibir un excesivo formalismo en las preguntas. El auditor, por su parte, tomará las notas imprescindibles en presencia del auditado, y nunca escribirá cruces ni marcará cuestionarios en su presencia. Los cuestionarios o Checklists responden fundamentalmente a dos tipos de "filosofía" de calificación o evaluación: a.      Checklist de rango Contiene preguntas que el auditor debe puntuar dentro de un rango preestablecido (por ejemplo, de 1 a 5, siendo 1 la respuesta más negativa y el 5 el valor más positivo) Ejemplo de Checklist de rango: Se supone que se está realizando una auditoría sobre la seguridad física de una instalación y, dentro de ella, se analiza el control de los accesos de personas y cosas al Centro de Computos. Podrían formularse las preguntas que figuran a continuación, en donde las respuestas tiene los siguientes significados: 1 : Muy deficiente 2 : Deficiente 3 : Mejorable 4 : Aceptable 5 : Correcto Se figuran posibles respuestas de los auditados. Las preguntas deben sucederse sin que parezcan clasificadas previamente. Basta con que el auditor lleve un pequeño guión. La cumplimentación del Checklist no debe realizarse en presencia del auditado. ¿Existe personal específico de vigilancia externa al edificio?   -No, solamente un guardia por la noche que atiende además otra instalación adyacente. <Puntuación: 1> Para la vigilancia interna del edificio, ¿Hay al menos un vigilante por turno en los aledaños del Centro de Computos?   -Si, pero sube a las otras 4 plantas cuando se le necesita. <Puntuación: 2> ¿Hay salida de emergencia además de la habilitada para la entrada y salida de máquinas?   -Si, pero existen cajas apiladas en dicha puerta. Algunas veces las quitan. <Puntuación: 2> El personal de Comunicaciones, ¿Puede entrar directamente en la Sala de Computadoras?   -No, solo tiene tarjeta el Jefe de Comunicaciones. No se la da a su gente mas que por causa muy justificada, y avisando casi siempre al Jefe de Explotación. <Puntuación: 4> El resultado sería el promedio de las puntuaciones: (1 + 2 + 2 + 4) /4 = 2,25 Deficiente.  b.      Checklist Binario Es el constituido por preguntas con respuesta única y excluyente: Si o No. Aritméticamente, equivalen a 1(uno) o 0(cero), respectivamente. Ejemplo de Checklist Binario: Se supone que se está realizando una Revisión de los métodos de pruebas de programas en el ámbito de Desarrollo de Proyectos. ¿Existe Normativa de que el usuario final compruebe los resultados finales de los programas?   <Puntuación: 1> ¿Conoce el personal de Desarrollo la existencia de la anterior normativa?   <Puntuación: 1> ¿Se aplica dicha norma en todos los casos?   <Puntuación: 0> ¿Existe una norma por la cual las pruebas han de realizarse con juegos de ensayo o copia de Bases de Datos reales?   <Puntuación: 0> Obsérvese como en este caso están contestadas las siguientes preguntas: ¿Se conoce la norma anterior?   <Puntuación: 0> ¿Se aplica en todos los casos?    <Puntuación: 0> Los Checklists de rango son adecuadas si el equipo auditor no es muy grande y mantiene criterios uniformes y equivalentes en las valoraciones. Permiten una mayor precisión en la evaluación que en el checklist binario. Sin embargo, la bondad del método depende excesivamente de la formación y competencia del equipo auditor. Los Checklists Binarios siguen una elaboración inicial mucho más ardua y compleja. Deben ser de gran precisión, como corresponde a la suma precisión de la respuesta. Una vez construidos, tienen la ventaja de exigir menos uniformidad del equipo auditor y el inconveniente genérico del <si o no> frente a la mayor riqueza del intervalo. No existen Checklists estándar para todas y cada una de las instalaciones informáticas a auditar. Cada una de ellas posee peculiaridades que hacen necesarios los retoques de adaptación correspondientes en las preguntas a realizar. Trazas y/o Huellas Con frecuencia, el auditor informático debe verificar que los programas, tanto de los Sistemas como de usuario, realizan exactamente las funciones previstas, y no otras. Para ello se apoya en productos Software muy potentes y modulares que, entre otras funciones, rastrean los caminos que siguen los datos a través del programa. Muy especialmente, estas "Trazas" se utilizan para comprobar la ejecución de las validaciones de datos previstas. Las mencionadas trazas no deben modificar en absoluto el Sistema. Si la herramienta auditora produce incrementos apreciables de carga, se convendrá de antemano las fechas y horas más adecuadas para su empleo. Por lo que se refiere al análisis del Sistema, los auditores informáticos emplean productos que comprueban los valores asignados por Técnica de Sistemas a cada uno de los parámetros variables de las Librerías más importantes del mismo. Estos parámetros variables deben estar dentro de un intervalo marcado por el fabricante. A modo de ejemplo, algunas instalaciones descompensan el número de iniciadores de trabajos de determinados entornos o toman criterios especialmente restrictivos o permisivos en la asignación de unidades de servicio para según cuales tipos carga. Estas actuaciones, en principio útiles, pueden resultar contraproducentes si se traspasan los límites. No obstante la utilidad de las Trazas, ha de repetirse lo expuesto en la descripción de la auditoría informática de Sistemas: el auditor informático emplea preferentemente la amplia información que proporciona el propio Sistema: Así, los ficheros de “Accounting” o de “contabilidad”, en donde se encuentra la producción completa de aquél, y los “Log” de dicho Sistema, en donde se recogen las modificaciones de datos y se pormenoriza la actividad general. Del mismo modo, el Sistema genera automáticamente exacta información sobre el tratamiento de errores de maquina central, periféricos, etc. La auditoría financiero-contable convencional emplea trazas con mucha frecuencia. Son programas encaminados a verificar lo correcto de los cálculos de nóminas, primas, etc. Software de Interrogación Hasta hace ya algunos años se han utilizado productos software llamados genéricamente “paquetes de auditoría”, capaces de generar programas para auditores escasamente cualificados desde el punto de vista informático. Más tarde, dichos productos evolucionaron hacia la obtención de muestreos estadísticos que permitieran la obtención de consecuencias e hipótesis de la situación real de una instalación. En la actualidad, los productos Software especiales para la auditoría informática se orientan principalmente hacia lenguajes que permiten la interrogación de ficheros y bases de datos de la empresa auditada. Estos productos son utilizados solamente por los auditores externos, por cuanto los internos disponen del software nativo propio de la instalación. Del mismo modo, la proliferación de las redes locales y de la filosofía "Cliente-Servidor", han llevado a las firmas de software a desarrollar interfaces de transporte de datos entre computadoras personales y mainframe, de modo que el auditor informático copia en su propia PC la información más relevante para su trabajo. Cabe recordar, que en la actualidad casi todos los usuarios finales poseen datos e información parcial generada por la organización informática de la Compañía. Efectivamente, conectados como terminales al "Host", almacenan los datos proporcionados por este, que son tratados posteriormente en modo PC. El auditor se ve obligado (naturalmente, dependiendo del alcance de la auditoría) a recabar información de los mencionados usuarios finales, lo cual puede realizar con suma facilidad con los polivalentes productos descritos. Con todo, las opiniones más autorizadas indican que el trabajo de campo del auditor informático debe realizarse principalmente con los productos del cliente. Finalmente, ha de indicarse la conveniencia de que el auditor confeccione personalmente determinadas partes del Informe. Para ello, resulta casi imprescindible una cierta soltura en el manejo de Procesadores de Texto, paquetes de Gráficos, Hojas de Cálculo, etc.
3- CRMR (Computer Resource Management Review)
- Definición de la Metodología CRMR - Areas de aplicación  - Objetivos  - Alcance  - Información necesaria para la evaluación del CRMR  - Información necesaria para la realización del CRMR  - Caso práctico de una Auditoría de Seguridad Informática "Ciclo de Seguridad"
3.1- Definición de la Metodología CRMR
CRMR son las siglas de “Computer resource management review”, su traducción más adecuada, Evaluación de la gestión de recursos informáticos. En cualquier caso, esta terminología quiere destacar la posibilidad de realizar una evaluación de eficiencia de utilización de los recursos por medio del management. Una revisión de esta naturaleza no tiene en sí misma el grado de profundidad de una auditoría informática global, pero proporciona soluciones más rápidas a problemas concretos y notorios. Supuestos de aplicación En función de la definición dada, la metodología abreviada CRMR es aplicable más a deficiencias organizativas y gerenciales que a problemas de tipo técnico, pero no cubre cualquier área de un Centro de Procesos de Datos. El método CRMR puede aplicarse cuando se producen algunas de las situaciones que se citan: ·                    Se detecta una mala respuesta a las peticiones y necesidades de los usuarios.  ·                    Los resultados del Centro de Procesos de Datos no están a disposición de los usuarios en el momento oportuno  ·                    Se genera con alguna frecuencia información errónea por fallos de datos o proceso. ·                    Existen sobrecargas frecuentes de capacidad de proceso. ·                    Existen costes excesivos de proceso en el Centro de Proceso de Datos. Efectivamente, son éstas y no otras las situaciones que el auditor informático encuentra con mayor frecuencia. Aunque pueden existir factores técnicos que causen las debilidades descritas, hay que convenir en la mayor incidencia de fallos de gestión.
3.2- Areas de Aplicación
Las áreas en que el método CRMR puede ser aplicado se corresponden con las sujetas a las condiciones de aplicación señaladas en punto anterior: ·         Gestión de Datos ·         Control de Operaciones ·         Control y utilización de recursos materiales y humanos ·         Interfaces y relaciones con usuarios ·         Planificación ·         Organización y administración Ciertamente, el CRMR no es adecuado para evaluar la procedencia de adquisición de nuevos equipos (Capacity Planning) o para revisar muy a fondo los caminos críticos o las holguras de un Proyecto complejo.
3.3- Objetivos
CRMR tiene como objetivo fundamental evaluar el grado de bondad o ineficiencia de los procedimientos y métodos de gestión que se observan en un Centro de Proceso de Datos. Las Recomendaciones que se emitan como resultado de la aplicación del CRMR, tendrán como finalidad algunas de las que se relacionan: ·         Identificar y fijar responsabilidades ·         Mejorar la flexibilidad de realización de actividades ·         Aumentar la productividad ·         Disminuir costes ·         Mejorar los métodos y procedimientos de Dirección
3.4- Alcance
Se fijarán los límites que abarcará el CRMR, antes de comenzar el trabajo. Se establecen tres clases: 1.      Reducido. El resultado consiste en señalar las áreas de actuación con potencialidad inmediata de obtención de beneficios. 2.      Medio. En este caso, el CRMR ya establece conclusiones y Recomendaciones, tal y como se hace en la auditoría informática ordinaria. 3.       Amplio. El CRMR incluye Planes de Acción, aportando técnicas de implementación de las Recomendaciones, a la par que desarrolla las conclusiones.
3.5- Información necesaria para la evaluación del CRMR
Se determinan en este punto los requisitos necesarios para que esta simbiosis de auditoría y consultoría pueda llevarse a cabo con éxito. 1.      El trabajo de campo del CRMR ha de realizarse completamente integrado en la estructura del Centro de Proceso de Datos del cliente, y con los recursos de éste. 2.      Se deberá cumplir un detallado programa de trabajo por tareas. 3.       El auditor-consultor recabará determinada información necesaria del cliente. Se tratan a continuación los tres requisitos expuestos:  1.      Integración del auditor en el Centro de Procesos de Datos a revisar No debe olvidarse que se están evaluando actividades desde el punto de vista gerencial. El contacto permanente del auditor con el trabajo ordinario del Centro de Proceso de Datos permite a aquél determinar el tipo de esquema organizativo que se sigue.      2. Programa de trabajo clasificado por tareas Todo trabajo habrá de ser descompuesto en tareas. Cada una de ellas se someterá a la siguiente sistemática: ·   Identificación de la tarea ·   Descripción de la tarea ·   Descripción de la función de dirección cuando la tarea se realiza incorrectamente. ·   Descripción de ventajas, sugerencias y beneficios que puede originar un cambio o modificación de tarea ·   Test para la evaluación de la práctica directiva en relación con la tarea ·   Posibilidades de agrupación de tareas ·   Ajustes en función de las peculiaridades de un departamento concreto ·   Registro de resultados, conclusiones y Recomendaciones.
				3.6- Información necesaria para la realización del CRMR
El cliente es el que facilita la información que el auditor contrastará con su trabajo de campo. Se exhibe a continuación una Checklist completa de los datos necesarios para confeccionar el CRMR: ·                    Datos de mantenimiento preventivo de Hardware ·                    Informes de anomalías de los sistemas  ·                    Procedimientos estándar de actualización. ·                    Procedimientos de emergencia. ·                    Monitoreo de los Sistemas. ·                    Informes del rendimiento de los Sistemas. ·                    Mantenimiento de las Librerías de Programas. ·                    Gestión de Espacio en disco. ·                    Documentación de entrega de Aplicaciones a Explotación. ·                    Documentación de alta de cadenas en Explotación. ·                    Utilización de CPU, canales y discos. ·                    Datos de paginación de los Sistemas. ·                    Volumen total y libre de almacenamiento. ·                    Ocupación media de disco. ·                    Manuales de Procedimientos de Explotación. Esta información cubre ampliamente el espectro del CRMR y permite ejercer el seguimiento de las Recomendaciones realizadas.
3.7- Caso Práctico de una Auditoría de Seguridad Informática "Ciclo de Seguridad"
A continuación, un caso de auditoría de área general para proporcionar una visión más desarrollada y amplia de la función auditora. Es una auditoría de Seguridad Informática que tiene como misión revisar tanto la seguridad física del Centro de Proceso de Datos en su sentido más amplio, como la seguridad lógica de datos, procesos y funciones informáticas más importantes de aquél. Ciclo de Seguridad El objetivo de esta auditoría de seguridad es revisar la situación y las cuotas de eficiencia de la misma en los órganos más importantes de la estructura informática. Para ello, se fijan los supuestos de partida: El área auditada es la Seguridad. El área a auditar se divide en: Segmentos. Los segmentos se dividen en: Secciones. Las secciones se dividen en: Subsecciones. De este modo la auditoría se realizara en 3 niveles. Los segmentos a auditar, son: ·                    Segmento 1: Seguridad de cumplimiento de normas y estándares ·                    Segmento 2: Seguridad de Sistema operativo ·                    Segmento 3: Seguridad de Software. ·                    Segmento 4: Seguridad de Comunicaciones. ·                    Segmento 5: Seguridad de Base de Datos. ·                    Segmento 6: Seguridad de Proceso. ·                    Segmento 7: Seguridad de Aplicaciones. ·                    Segmento 8: Seguridad Física. Se darán los resultados globales de todos los segmentos y se realizará un tratamiento exhaustivo del Segmento 8, a nivel de sección y subsección. El siguiente ejemplo se puede desarrollar en 4 fases bien diferenciadas: Fase 0. Causas de la realización del ciclo de seguridad. Fase 1. Estrategia y logística del ciclo de seguridad. Fase 2. Cálculos y resultados del ciclo de seguridad. Fase 3. Confección del informe del ciclo de seguridad.  A su vez, las actividades auditoras se realizan en el orden siguiente:    1.    Comienzo del proyecto de Auditoría Informática  2.                 Asignación del equipo auditor  3.                 Asignación del equipo interlocutor del cliente. 4.                 Cumplimentación de formularios globales y parciales por parte del cliente. 5.                 Asignación de pesos técnicos por parte del equipo auditor. 6.                 Asignación de pesos políticos por parte del cliente. 7.                 Asignación de pesos finales a segmentos y secciones. 8.                 Preparación y confirmación de entrevistas. 9.                 Entrevistas, confrontaciones y análisis y repaso de documentación. 10.             Calculo y ponderación de subsecciones, secciones y segmentos. 11.             Identificación de áreas mejorables. 12.             Elección de las áreas de actuación prioritaria. 13.             Preparación de recomendaciones y borrador de informe 14.             Discusión de borrador con cliente. 15.              Entrega del informe  Fase 0 : Causas de realización de una Auditoría de Seguridad    Esta constituye la FASE 0 de la auditoría y el orden 0 de actividades de la misma. El equipo auditor debe conocer las razones por las cuales el cliente desea realizar el Ciclo de Seguridad. Puede haber muchas causas: Reglas internas del cliente, incrementos no previstos de costes, obligaciones legales, situación de ineficiencia global notoria, etc. De esta manera el auditor conocerá el entorno inicial. Así, el equipo auditor elaborará el Plan de Trabajo. Fase 1 : Estrategia y logística del ciclo de Seguridad Constituye la FASE 1 del ciclo de seguridad y se desarrolla en las actividades 1, 2 y 3: Fase 1. Estrategia y logística del ciclo de seguridad 1.      Designación del equipo auditor. 2.  Asignación de interlocutores, validadores y decisores del cliente  3.  Cumplimentación de un formulario general por parte del cliente, para la realización del estudio inicial  Con las razones por las cuales va a ser realizada la auditoría (Fase 0), el equipo auditor diseña el proyecto de Ciclo de Seguridad con arreglo a una estrategia definida en función del volumen y complejidad del trabajo a realizar, que constituye la Fase 1 del punto anterior. Para desarrollar la estrategia, el equipo auditor necesita recursos materiales y humanos. La adecuación de estos se realiza mediante un desarrollo logístico, en el que los mismos deben ser determinados con exactitud. La cantidad, calidad, coordinación y distribución de los mencionados recursos, determina a su vez la eficiencia y la economía del Proyecto. Los planes del equipo auditor se desarrolla de la siguiente manera: 1.      Eligiendo el responsable de la auditoría su propio equipo de trabajo. Este ha de ser heterogéneo en cuanto a especialidad, pero compacto. 2. Recabando de la empresa auditada los nombres de las personas de la misma que han de relacionarse con los auditores, para las peticiones de información, coordinación de entrevistas, etc. 3. Mediante un estudio inicial, del cual forma parte el análisis de un formulario exhaustivo, también inicial, que los auditores entregan al cliente para su cumplimentación. Según los planes marcados, el equipo auditor, cumplidos los requisitos 1, 2 y 3, estará en disposición de comenzar la "tarea de campo", la operativa auditora del Ciclo de Seguridad. 4.    Las entrevistas deben realizarse con exactitud. El responsable del equipo auditor designará a un encargado, dependiendo del área de la entrevista. Este, por supuesto, deberá conocer a fondo la misma. La realización de entrevistas adecuadas constituye uno de los factores fundamentales del éxito de la auditoría. La adecuación comienza con la completa cooperación del entrevistado. Si esta no se produce, el responsable lo hará saber al cliente. Deben realizarse varias entrevistas del mismo tema, al menos a dos o tres niveles jerárquicos distintos. El mismo auditor puede, y en ocasiones es conveniente, entrevistar a la misma persona sobre distintos temas. Las entrevistas deben realizarse de acuerdo con el plan establecido, aunque se pueden llegar a agregar algunas adicionales y sin planificación. La entrevista concreta suele abarcar Subsecciones de una misma Sección tal vez una sección completa. Comenzada la entrevista, el auditor o auditores formularán preguntas al/los entrevistado/s. Debe identificarse quien ha dicho qué, si son más de una las personas entrevistadas. Los Checklist’s son útiles y en muchos casos imprescindibles. Terminadas las entrevistas, el auditor califica las respuestas del auditado (no debe estar presente) y procede al levantamiento de la información correspondiente. Simultáneamente a las entrevistas, el equipo auditor realiza pruebas planeadas y pruebas sorpresa para verificar y cruzar los datos solicitados y facilitados por el cliente. Estas pruebas se realizan ejecutando trabajos propios o repitiendo los de aquél, que indefectiblemente deberán ser similares si se han reproducido las condiciones de carga de los Sistemas auditados. Si las pruebas realizadas por el equipo auditor no fueran consistentes con la información facilitada por el auditado, se deberá recabar nueva información y volver a verificar los resultados de las pruebas auditoras. La evaluación de los Checklists, las pruebas realizadas, la información facilitada por el cliente y el análisis de todos los datos disponibles, configuran todos los elementos necesarios para calcular y establecer los resultados de la auditoría, que se materializarán en el informe final. A continuación, un ejemplo de auditoría de la Sección de Control de Accesos del Segmento de Seguridad Física: Vamos a dividir a la Sección de Control de Accesos en cuatro Subsecciones:    1.    Autorizaciones  2.                 Controles Automáticos  3.                 Vigilancia 4.                 Registros En los siguientes Checklists, las respuestas se calificarán de 1 a 5, siendo1 la más deficiente y 5 la máxima puntuación. Control de Accesos: Autorizaciones Preguntas Respuestas Puntos ¿Existe un único responsable de implementar la política de autorizaciones de entrada en el Centro de Computos? Si, el Jefe de Explotación, pero el Director puede acceder a la Sala con acompañantes sin previo aviso. 4 ¿Existe alguna autorización permanente de estancia de personal ajeno a la empresa? Una sola. El técnico permanente de la firma suministradora. 5 ¿Quiénes saben cuales son las personas autorizadas? El personal de vigilancia y el Jefe de Explotación. 5 Además de la tarjeta magnética de identificación, ¿hay que pasar otra especial? No, solamente la primera. 4 ¿Se pregunta a las visitas si piensan visitar el Centro de Computos? No, vale la primera autorización. 3 ¿Se preveen las visitas al Centro de Computos con 24 horas al menos? No, basta que vayan acompañados por el Jefe de Explotación o Director 3 TOTAL AUTORIZACIONES 24/30 80% Control de Accesos: Controles Automáticos Preguntas Respuestas Puntos ¿Cree Ud. que los Controles Automáticos son adecuados? Si, aunque ha de reconocerse que a pie puede llegarse por la noche hasta el edificio principal. 3 ¿Quédan registradas todas las entradas y salidas del Centro de Computos? No, solamente las del personal ajeno a Operación. 3 Al final de cada turno, ¿Se controla el número de entradas y salidas del personal de Operación? Sí, y los vigilantes los reverifican. 5 ¿Puede salirse del Centro de Computos sin tarjeta magnética? Si, porque existe otra puerta de emergencia que puede abrirse desde adentro 3 TOTAL CONTROLES AUTOMATICOS 14/20 70% Control de Accesos: Vigilancia Preguntas Respuestas Puntos ¿Hay vigilantes las 24 horas? Sí. 5 ¿Existen circuitos cerrados de TV exteriores? Sí. 5 Identificadas las visitas, ¿Se les acompaña hasta la persona que desean ver? No. 2 ¿Conocen los vigilantes los terminales que deben quedar encendidos por la noche? No, sería muy complicado. 2 TOTAL VIGILANCIA 14/20 70% Control de Accesos: Registros Preguntas Respuestas Puntos ¿Existe una adecuada política de registros? No, reconocemos que casi nunca, pero hasta ahora no ha habido necesidad. 1 ¿Se ha registrado alguna vez a una persona? Nunca. 1 ¿Se abren todos los paquetes dirigidos a personas concretas y no a Informática? Casi nunca. 1 ¿Hay un cuarto para abrir los paquetes? Si, pero no se usa siempre. 3 TOTAL REGISTROS 6/20 30% Fase 2 : Cálculos y Resultados del Ciclo de Seguridad Cálculos y resultados del ciclo de seguridad    1.      Cálculo y ponderación de Secciones y Segmentos. Las Subsecciones no se ponderan, solo se calculan. 2.                 Identificación de materias mejorables. 3.                 Priorización de mejoras. En el punto anterior se han realizado las entrevistas y se han puntuado las respuestas de toda la auditoría de Seguridad. El trabajo de levantamiento de información está concluido y contrastado con las pruebas. A partir de ese momento, el equipo auditor tiene en su poder todos los datos necesarios para elaborar el informe final. Solo faltaría calcular el porcentaje de bondad de cada área; éste se obtiene calculando el sumatorio de las respuestas obtenidas, recordando que deben afectarse a sus pesos correspondientes. Una vez realizado los cálculos, se ordenaran y clasificaran los resultados obtenidos por materias mejorables, estableciendo prioridades de actuación para lograrlas. Cálculo del ejemplo de las Subsecciones de la Sección de Control de Accesos: Ø       Autorizaciones 80% Ø       Controles Automáticos 70% Ø       Vigilancia 70% Ø       Registros 30% Ø       Promedio de Control de Accesos 62,5% Cabe recordar, que dentro del Segmento de Seguridad Física, la Sección de Control de Accesos tiene un peso final de 4. Prosiguiendo con el ejemplo, se procedió a la evaluación de las otras cuatro Secciones, obteniéndose los siguientes resultados:  Ciclo de Seguridad: Segmento 8, Seguridad Física. Secciones Peso Puntos Sección 1. Datos 6 57,5% Sección 2. Control de Accesos 4 62,5% Sección 3. Equipos (Centro de Computos) 5 70% Sección 4. Documentos 3 52,5% Sección 5. Suministros 2 47,2% Conocidas los promedios y los pesos de las cinco Secciones, se procede a calcular y ponderar el Segmento 8 de Seguridad Física: Seg. 8 = PromedioSección1 * peso + PromedioSecc2 * peso + PromSecc3 * peso + PromSecc4 * peso + PromSecc5 * peso / (peso1 + peso2 + peso3 + peso4 + peso5) ó Seg. 8 = (57,5 * 6) + (62,5 * 4) + (70 * 5) + (52,5 * 3) + (47,2 * 2) / 20 Seg. 8 = 59,85% A continuación, la evaluación final de los demás Segmentos del ciclo de Seguridad: Ciclo de Seguridad. Evaluación y pesos de Segmentos Segmentos Pesos Evaluación Seg1. Normas y Estándares 10 61% Seg2. Sistema Operativo 10 90% Seg3. Software Básico 12 72% Seg4. Comunicaciones 12 55% Seg5. Bases de Datos 12 77,5% Seg6. Procesos 14 51,2% Seg7. Aplicaciones 16 50,5% Seg8. Seguridad Física 14 59,8% Promedio Total Area de Seguridad 100 63,3%  Sistemática seguida para el cálculo y evaluación del Ciclo de Seguridad: a.      Valoración de las respuestas a las preguntas específicas realizadas en las entrevistas y a los cuestionarios formulados por escrito. b.                 Cálculo matemático de todas las subsecciones de cada sección, como media aritmética (promedio final) de las preguntas específicas. Recuérdese que las subsecciones no se ponderan. c.                  Cálculo matemático de la Sección, como media aritmética (promedio final) de sus Subsecciones. La Sección calculada tiene su peso correspondiente. d.                 Cálculo matemático del Segmento. Cada una de las Secciones que lo componen se afecta por su peso correspondiente. El resultado es el valor del Segmento, el cual, a su vez, tiene asignado su peso. e.                  Cálculo matemático de la auditoría. Se multiplica cada valor de los Segmentos por sus pesos correspondientes, la suma total obtenida se divide por el valor fijo asignado a priori a la suma de los pesos de los segmentos. Finalmente, se procede a mostrar las áreas auditadas con gráficos de barras, exponiéndose primero los Segmentos, luego las Secciones y por último las Subsecciones. En todos los casos sé referenciarán respecto a tres zonas: roja, amarilla y verde. La zona roja corresponde a una situación de debilidad que requiere acciones a corto plazo. Serán las más prioritarias, tanto en la exposición del Informe como en la toma de medidas para la corrección. La zona amarilla corresponde a una situación discreta que requiere acciones a medio plazo, figurando a continuación de las contenidas en la zona roja. La zona verde requiere solamente alguna acción de mantenimiento a largo plazo. Fase 3 : Confección del Informe del Ciclo de Seguridad Confección del informe del ciclo de seguridad      1.  Preparación de borrador de informe y Recomendaciones     2.  Discusión del borrador con el cliente     3.  Entrega del Informe y Carta de Introducción Ha de resaltarse la importancia de la discusión de los borradores parciales con el cliente. La referencia al cliente debe entenderse como a los responsables directos de los segmentos. Es de destacar que si hubiese acuerdo, es posible que el auditado redacte un contrainforme del punto cuestionado. Este acta se incorporará al Informe Final. Las Recomendaciones del Informe son de tres tipos: 1.      Recomendaciones correspondientes a la zona roja. Serán muy detalladas e irán en primer lugar, con la máxima prioridad. La redacción de las recomendaciones se hará de modo que sea simple verificar el cumplimiento de la misma por parte del cliente. 2.   Recomendaciones correspondientes a la zona amarilla. Son las que deben observarse a medio plazo, e igualmente irán priorizadas. 3.   Recomendaciones correspondientes a la zona verde. Suelen referirse a medidas de mantenimiento. Pueden ser omitidas. Puede detallarse alguna de este tipo cuando una acción sencilla y económica pueda originar beneficios importantes.
4.- Preguntas
Ø  1. ¿Qué es una metodología? Es una secuencia de pasos lógica y ordenada de proceder para llegar a un resultado determinado. Ø       2. ¿Qué es una metodología de trabajo de auditoría informática? Es una serie de pasos para llevar a cabo una auditoría informática Ø       3. ¿Cuales son las etapas de una metodología? ·        Alcance y Objetivos de la Auditoría Informática ·        Estudio inicial del entorno auditable ·        Determinación de los recursos necesarios para realizar la auditoría ·        Elaboración del plan y de los Programas de Trabajo ·        Actividades propiamente dichas de la auditoría ·        Confección y redacción del Informe Final ·        Redacción de la Carta de Introducción o Carta de Presentación del Informe final.  Ø       4. ¿Para qué sirve definir los alcances y objetivos en una auditoría? La auditoría sin alcances y objetivos puede terminar siendo una actividad muy costosa y sin beneficios. La definición de los alcances y objetivos sirve para poder acotar el trabajo y conocer los resultados obtenidos.  Ø       5. ¿Por qué es más costosa una auditoría general que una específica? Por lo que implica c ada una. Una auditoría específica es mas acotada, no requiere una investigación tan extensa y es más fácil determinar los objetivos y medir los resultados.  Ø       6. ¿En qué consiste la etapa del estudio inicial? Consiste en conocer como esta constituida la empresa, sus procesos, su entorno operacional y los procesos informáticos realizados hasta el momento.  Ø       7. ¿ Qué elementos deben ser analizados en la etapa "Estudio Inicial" de una auditoría? ·        Organigrama ·        Departamentos ·        Relaciones Jerárquicas y funcionales entre órganos de la Organización ·        Flujos de Información ·        Persona  Ø       8. ¿En qué consiste la etapa Entorno Operacional? El equipo de auditoría informática debe poseer una adecuada referencia del entorno en el que va a desenvolverse. Por lo tanto se realiza un estudio del entorno de la auditoría. El entorno puede ser la situación geográfica del sistema, la arquitectura de hardware y software o las comunicaciones o entorno de redes.  Ø       9. ¿En qué consiste la etapa Determinación de recursos de la auditoría Informática? Mediante los resultados del estudio inicial realizado se procede a determinar los recursos humanos y materiales que han de emplearse en la auditoría. En esta etapa se asignan los recursos a las tareas.  Ø       10. ¿Qué tipo de recursos insume una auditoría Informática? Materiales, como software, hardware, tiempo. Humanos, personal.  Ø       11. ¿En que consiste la etapa Elaboración del Plan y de los programas de trabajo? Una vez asignados los recursos, el responsable de la auditoría y sus colaboradores establecen un plan de trabajo, que consta de las tareas básicas a realizar.  Ø       12. ¿En que consiste la etapa Actividades?          Consiste en desglozar las actividades a llevar a cabo en la auditoría.  Ø       13. ¿Cuales son las principales técnicas de trabajo?           Las más conocidas y utilizadas técnicas de trabajo son: ·        Análisis de la información recabada del auditado ·        Análisis de la información propia ·        Cruzamiento de las informaciones anteriores ·        Entrevistas ·        Simulación ·        Muestreos Ø       14. ¿De qué herramientas se disponen para realizar una auditoría?           Las diferentes herramientas que se pueden aplicar en una auditoría son: ·        Cuestionario general inicial ·        Cuestionario Checklist ·        Estándares ·        Monitores ·        Simuladores (Generadores de datos) ·        Paquetes de auditoría (Generadores de Programas) ·        Matrices de riesgo Ø       15. ¿ Qué objetivo tiene la etapa "Informe Final" de una auditoría ? La función de la auditoría se materializa exclusivamente por escrito. Por lo tanto la elaboración final es el exponente de su calidad. Esta etapa se encarga de la redacción del informe final.  Ø       16. ¿ Qué objetivo tiene la etapa "Carta de presentación del Informe Final"? La carta de introducción tiene especial importancia porque en ella se resume la auditoría realizada. Se destina exclusivamente al responsable máximo de la empresa, o a la persona concreta que encargo o contrato la auditoría.  Ø       17. ¿Qué significa la sigla CRMR?   Computer res ource management review.  Ø       18. Objetivo de CRMR Brinda la posibilidad de realizar una evaluación de eficiencia de utilización de los recursos Informáticos por medio del management.  Ø       19. Alcances de CRMR Proporciona soluciones rápidas a problemas concretos y notorios, que surgen del uso de recursos.  Ø       20. Límites de CRMR No tiene en sí misma el grado de profundidad de una auditoría informática.    Ø       21. ¿En qué casos es aconsejable aplicar CRMR? ·        Se detecta una mala respuesta a las peticiones y necesidades de los usuarios. ·        Los resultados del Centro de Procesos de Datos no están a disposición de los usuarios en el momento oportuno. ·        Se genera con alguna frecuencia información errónea por fallos de datos o proceso. ·        Existen sobrecargas frecuentes de capacidad de proceso. ·        Existen costes excesivos de proceso en el Centro de Proceso de Datos.  Ø       22. ¿En qué áreas de sistemas se aplica? ·        Gestión de Datos ·        Control de Operaciones ·        Control y utilización de recursos materiales y humanos ·        Interfaces y relaciones con usuarios ·        Planificación ·        Organización y administración Ø       23. ¿ Qué datos son necesarios para realizar un CRMR? ·        Datos de mantenimiento preventivo de Hardware ·        Informes de anomalías de los Sistemas ·        Procedimientos estándar de actualización. ·        Procedimientos de emergencia. ·        Monitoreo de los Sistemas. ·        Informes del rendimiento de los Sistemas. ·        Mantenimiento de las Librerías de Programas. ·        Gestión de Espacio en disco. ·        Documentación de entrega de Aplicaciones a Explotación. ·        Documentación de alta de cadenas en Explotación. ·        Utilización de CPU, canales y discos. ·        Datos de paginación de los Sistemas. ·        Volumen total y libre de almacenamiento ·        Ocupación media de disco ·        Manuales de Procedimientos de Explotación